Waar kwamen de getallen vandaan waarop een deel van onze cryptografie rust? Anthropic meldt dat een interne versie van Claude de oorsprong van verschillende NIST-curveparameters heeft gereconstrueerd. Volgens de publicatie van 16 oktober leiden de sporen naar een toevalsgenerator en tijdstempels uit 1997 en 1998. Dat maakt een opzettelijke achterdeur volgens de onderzoekers minder aannemelijk. Het is geen bewijs dat alle veiligheidsvragen zijn beantwoord.
| Wat je moet weten |
|---|
| 1Anthropic meldt een reconstructie van de seeds van NIST P-192, P-224, P-256, P-384 en P-521. |
| 2De bevinding gaat over de herkomst van publieke curveparameters, niet over gestolen privésleutels. |
| 3Volgens Anthropic betreft het geen nieuwe aanval of aangetoonde zwakte in ECDSA. |
| 4TLS ondersteunt onder meer P-256; Bitcoin gebruikt de andere curve secp256k1. |
De onderzoekspublicatie van Anthropic beschrijft hoe Claude de zogeheten seeds terugvond. Dat zijn invoerwaarden waarmee bepaalde curveparameters zijn vastgesteld. Ze waren gepubliceerd, maar hun herkomst was niet uitgelegd. Die onduidelijkheid voedde vragen over mogelijke bewuste beïnvloeding van de keuze.
Een recept wordt zichtbaar
Volgens Anthropic past een eenvoudige verklaring bij de onderzochte seeds: de uitvoer van een bekende toevalsgenerator, gestart met een tijdstempel. De onderzoekers geven code waarmee de getallen opnieuw zijn te berekenen. Dat is iets anders dan het achterhalen van een geheime sleutel waarmee versleutelde communicatie kan worden geopend.
De conclusie heeft grenzen. Niet alle onderzochte getallen zijn verklaard. Ook blijft onduidelijk waarom tijdens de oorspronkelijke selectie sommige bruikbare kandidaten werden overgeslagen. Voor meerdere curves is de herkomst van het basispunt nog onbekend. De reconstructie verkleint volgens Anthropic de ruimte voor een bewuste achterdeur; zij sluit niet iedere mogelijke zwakte uit.
Een zwakke toevalsgenerator klinkt daarbij alarmerender dan de bevinding hier betekent. Het gaat om de historische keuze van publieke parameters. De publicatie meldt geen methode om daarmee gebruikerssleutels te berekenen en noemt het onderzoek expliciet geen cryptografische doorbraak in de zin van een nieuwe aanval.
Een protocol is geen Nederlandse gebruiksmeting
Voor websites is het nuttig om gebruik en ondersteuning uit elkaar te houden. De TLS 1.3-specificatie bevat ondersteuning voor ECDSA met P-256, naast andere handtekeningalgoritmen. Daaruit volgt niet hoeveel Nederlandse banken, overheidswebsites of webwinkels die combinatie daadwerkelijk gebruiken. Voor zo’n uitspraak zou een afzonderlijke, actuele meting nodig zijn.
Bitcoin is weer een ander geval. De specificatie voor Schnorr-handtekeningen in Bitcoin gebruikt secp256k1 en beschrijft ook het eerdere gebruik daarvan met ECDSA. Die curve is niet NIST P-256. Alleen de overeenkomstige omvang of de naam ECDSA maakt de systemen dus niet uitwisselbaar.
Wie wil weten welke informatie een wallet prijsgeeft, moet kijken naar het soort sleutel of adres dat wordt gedeeld. Onze uitleg over een Bitcoin-xpub en betaalbevoegdheid behandelt dat onderscheid. De NIST-reconstructie is geen reden om te denken dat een publieke curveparameter ineens toegang tot een wallet geeft.
Anthropic zegt dat gebruikers naar aanleiding van deze bevinding niets hoeven te veranderen. Dat is de beoordeling van de onderzoekers, geen nieuwe aanwijzing van een Nederlandse toezichthouder. De concrete opbrengst van hun werk is inzicht in een historische ontwerpkeuze, met open vragen die in de publicatie zelf blijven staan.
Correctie 18 oktober: de eerdere versie stelde te absoluut dat er geen achterdeur was en suggereerde zonder gebruiksmeting dat Nederlandse websites dezelfde curve gebruiken. Beide uitspraken zijn begrensd tot wat de bronnen aantonen; de samenvatting en zoekbeschrijving zijn eveneens aangepast.
